Dot1x认证原理详解

1. 基本概念

IEEE 802.1X 是一种基于端口的网络访问控制协议（Port-Based Network Access Control），用于在用户接入网络时进行身份认证。它工作在数据链路层，通常与EAP（可扩展认证协议）结合使用，支持多种认证方式（如用户名/密码、数字证书等）。

2. 核心组件

Supplicant（客户端）：请求接入网络的设备（如PC、手机）。
Authenticator（认证设备）：控制物理端口的网络设备（如交换机、无线AP）。
Authentication Server（认证服务器）：验证客户端身份的服务器（如RADIUS服务器）。

3. 认证流程

初始化（Initiation）
- 客户端连接网络端口，端口初始状态为"未授权"，仅允许802.1X认证流量通过。
- 交换机发送EAP-Request/Identity报文询问客户端身份。
身份交换（Identity Exchange）
- 客户端回复EAP-Response/Identity，包含用户名或标识符。
认证协商（Authentication Negotiation）
- 交换机将客户端的身份信息封装到RADIUS Access-Request报文，转发给认证服务器。
- 服务器选择认证方式（如EAP-MD5、EAP-TLS、PEAP等），通过交换机通知客户端。
挑战与响应（Challenge/Response）
- 客户端与认证服务器通过交换机中转，完成认证交互（如密码验证、证书交换等）。
认证结果（Authorization）
- 认证服务器验证成功后，发送RADIUS Access-Accept，交换机将端口状态改为"授权"，允许正常通信。
- 若失败，则发送RADIUS Access-Reject，端口保持阻塞。
会话维护（Session Maintenance）
- 可定期重认证或通过EAPOL-Logoff终止会话。

4. 关键协议与技术

EAP over LAN (EAPOL)：用于客户端与交换机之间的802.1X通信。
RADIUS：交换机与认证服务器间的协议，封装EAP消息。
EAP方法 ：
- EAP-MD5：简单密码认证，安全性较低。
- EAP-TLS：双向证书认证，高安全性。
- PEAP/MSCHAPv2：通过TLS隧道保护密码认证。

5. 典型应用场景

有线网络：企业交换机端口接入控制。
无线网络（WPA/WPA2-Enterprise）：结合802.1X实现Wi-Fi安全认证。
动态VLAN分配：认证后根据用户角色分配VLAN。

6. 安全优势

端口隔离：未认证时仅开放认证流量。
灵活认证：支持多种EAP方法。
集中管理：通过RADIUS服务器统一控制访问权限。

7. 配置示例（以交换机为例）

bash 复制代码

# 启用802.1X全局功能
dot1x system-auth-control

# 指定RADIUS服务器
radius-server host 192.168.1.100 key mysecret

# 接口启用802.1X
interface GigabitEthernet0/1
 dot1x port-control auto
 dot1x pae authenticator

8. 注意事项

客户端兼容性：需操作系统支持802.1X（如Windows内置Supplicant）。
网络设备支持：交换机/AP需支持802.1X。
备用端口：建议配置Guest VLAN或MAB（MAC认证旁路）作为备用方案。